Ki állít be Budapesten DMZ-t a routeren szakszerűen?

Router DMZ beállítása akkor, amikor már nem elég a porttovábbítás

A Router DMZ beállítása sokaknál akkor kerül elő, amikor egy eszköz kívülről nem elérhető, és már mindent kipróbáltak. Tipikus helyzet a kamerarendszer távoli nézete, egy régi játék szerver, belső webfelület, vagy egy speciális ipari vezérlő. A gond az, hogy a DMZ nem varázslat. Valójában azt jelenti, hogy egy belső IP-címet a router szinte teljesen kitesz az internet felé. Ez néha gyors megoldás, de ha rosszul csinálod, pár óra alatt lehet belőle kellemetlen meglepetés.

És itt jön a konfliktus. Sokan azt hiszik, hogy a DMZ csak egy ártatlan kapcsoló a routerben. Bekapcsolják, aztán csodálkoznak, hogy az eszköz instabil, tele lesz próbálkozásokkal a napló, vagy a szolgáltató letilt bizonyos forgalmat. Látom, hogy a DMZ-t gyakran arra használják, amire nem való, mert kényelmesebb, mint rendesen beállítani a portokat, a tűzfalat és a hozzáféréseket.

Router DMZ beállítás tipikus hibák és egy tanulságos eset

Sok Router DMZ beállítás azért végződik rosszul, mert a belső hálózat alapjai sincsenek rendben. Például a kiválasztott eszköz nem kap fix IP-t, csak DHCP-t. Ilyenkor ma működik, holnap meg már nem, mert a router más címet oszt. A másik gyakori hiba, hogy a DMZ-be tett eszköz valójában egy teljes belső switch mögött van, vagy egy második router NAT-ja mögött. Így a DMZ csak papíron létezik, a kapcsolat továbbra is akadozik.

Volt egy eset, amikor a kliens egy NAS-t tett DMZ-be, mert távolról akarta elérni. Pár napig minden oké volt, aztán jöttek a belépési próbálkozások, a NAS belassult, és a logok tele lettek. A gond nem az volt, hogy a NAS rossz, hanem hogy a DMZ miatt mindent megkapott kívülről. Egy rendszergazda végül visszavette porttovábbításra, VPN-re, és kétlépcsős belépésre. Azóta stabil, és a támadási felület is jóval kisebb.

Router DMZ beállítása előtt ezekre figyelj, különben csak bajt hoz

A Router DMZ beállítása előtt döntsd el, mi a cél. Ha egyetlen szolgáltatást akarsz elérni, akkor általában jobb a célzott portnyitás. DMZ-t akkor érdemes mérlegelni, ha sok, dinamikus port kell, vagy egy eszköz speciális protokollokat használ. De még ilyenkor is kell némi fegyelem.

• Fix belső IP-cím
• NAT és dupla NAT ellenőrzés
• Tűzfal szabályok átnézése
• Eszköz frissítések telepítése
• Erős jelszó beállítás
• Logok figyelése

Ha a router támogatja, személy szerint én inkább külön vendég VLAN-t vagy külön alhálózatot preferálok a DMZ-be tett eszköznek. Így ha baj van, nem borul a teljes otthoni háló. Egy hálózati szakember gyorsan megmondja, hogy a te esetedben kell-e DMZ, vagy csak rossz helyen keresed a hibát.

Router DMZ beállítása biztonságosan, mit jelent a gyakorlatban

A Router DMZ beállítása biztonságosabban is megoldható, ha nem egy mindent látó belső gépre mutatsz. Ideális esetben a DMZ-be kerülő eszköz csak azt éri el a belső hálóban, ami tényleg szükséges, vagy semmit. Sok routerben van alap tűzfal, de ez nem mindig elég. A DMZ nem válogat, a kinti forgalom ugyanúgy megérkezik, mint a jóindulatú kapcsolat.

Érdemes számolni azzal is, hogy szolgáltatói modem router kombinációnál a DMZ csak részmegoldás. Ha a modem is NAT-ol, akkor a routered DMZ-je mögött még ott a szolgáltatói eszköz. Ilyenkor vagy átkapcsolod a modemet bridge módba, vagy a szolgáltatói eszközön állítasz be DMZ-t a saját routered felé. Egy IT technikus ilyenkor általában 30–60 perc alatt felméri, hol akad el a kapcsolat, és nem vaktában állítgat.

Budapest környékén gyakori, hogy társasházi hálózatnál külön szabályok is vannak, vagy a bejövő portok egy része szűrt. Ilyenkor a DMZ sem segít, mert nem a routered a szűk keresztmetszet. Jó ezt előre tisztázni, különben csak időt égetsz.

Router DMZ beállítása árak, mennyibe kerül általában

Az ár attól függ, mennyire bonyolult a hálózat, van-e dupla NAT, kell-e firmware frissítés, és kell-e plusz biztonsági lépés. A lenti összegek tipikus tartományok. Nem minden feladatnál a DMZ a végső megoldás, sokszor csak diagnosztikai lépés. És igen, leírom őszintén, poénból nem éri meg megnyitni mindent. Poénból olcsón meg pláne nem.

Az áraknál egy megjegyzés. Az én tapasztalatom szerint olcsóbban 80 000 alatt ritkán lesz minőségi a teljes, biztonságos megoldás, ha VPN, szegmentálás és rendes szabályozás is kell. Egy egyszerű DMZ kapcsoló átbillentése nyilván olcsóbb, csak sokszor nem az a jó végállomás.

Router DMZ beállítása szakértővel, mikor éri meg és hogyan találsz embert

A Router DMZ beállítása akkor éri meg szakemberrel, ha üzleti eszközről van szó, ha fontos adatok vannak rajta, vagy ha nem látod át a hálózatod rétegeit. Egy hálózati szakember vagy rendszergazda nem csak beállít, hanem megkérdezi, miért kell a külső elérés, és milyen kockázat fér bele. Sokszor a korrekt válasz az, hogy ne DMZ legyen, hanem VPN, vagy fordított proxy, vagy csak két port pontosan megnyitva.

Itt, a Qjob.hu oldalon többféle szakembert találsz, akik nem egy cég nevében, hanem saját tapasztalat alapján dolgoznak. Érdemes rákérdezni, hogy milyen router típusokkal foglalkozik, vállal-e dupla NAT-os környezetet, és mit javasol DMZ helyett, ha a helyzet azt kívánja. Budapest esetén gyakran gyorsabb a helyszíni diagnózis, de sok mindent távolról is meg lehet oldani, ha van hozzáférés és rendes log.

Ha most az a célod, hogy csak működjön, akkor a DMZ csábító. De ha az is cél, hogy ne legyen belőle gond két hét múlva, akkor a döntésed legyen kicsit unalmasabb és kicsit biztonságosabb. Én ezt szeretem, még ha nem is hangzik hősiesnek.